Le présent Accord de traitement des données personnelles (ci-après dénommé l'Accord) définit les conditions dans lesquelles l'Entrepreneure individuelle au sens du droit ukrainien Serdiukova Anna (ci-après dénommée l'Administration ou le Sous-traitant) traite les données personnelles des clients et des employés de l'Utilisateur du service PodoCard au nom et sur instruction de cet Utilisateur dans le cadre de la fourniture du Service.
L'Accord complète les Conditions d'utilisation du service PodoCard et la Politique de confidentialité publiées sur le site https://podocard.com et s'applique conjointement avec celles-ci. L'Accord est un contrat d'adhésion au sens de l'article 634 du Code civil de l'Ukraine. L'Utilisateur adhère à l'Accord (l'accepte) lorsqu'il accepte les Conditions d'utilisation et saisit dans le Service des données personnelles des Clients de l'Utilisateur ou des Employés de l'Utilisateur, y compris lorsqu'il active la prise de rendez-vous via la Page de réservation en ligne.
L'Accord est établi conformément à la loi ukrainienne « Sur la protection des données personnelles » du 01.06.2010 n° 2297-VI et, pour les Utilisateurs auxquels s'applique le Règlement général sur la protection des données (UE) 2016/679 (RGPD), également conformément à l'article 28 du RGPD.
Dernière mise à jour : 29 octobre 2026.
SECTION 1 : TERMINOLOGIE
L'Accord utilise les termes des Conditions d'utilisation et de la Politique de confidentialité (notamment « Service », « Site », « Utilisateur », « Client de l'Utilisateur », « Fiche client », « Fonctions CRM », « Page de réservation en ligne », « Employé de l'Utilisateur »), ainsi que les termes suivants :
« Responsable du traitement » — l'Utilisateur qui est le propriétaire de l'entreprise dans le Service ou, si l'espace du compte de l'entreprise est tenu au nom d'une personne morale ou d'un entrepreneur individuel, cette personne. Le Responsable du traitement détermine les finalités et les moyens du traitement des Données confiées et, au sens de la loi ukrainienne « Sur la protection des données personnelles », en est le propriétaire.
« Sous-traitant » — l'Administration, qui traite les Données confiées au nom et sur instruction du Responsable du traitement ; au sens de la loi ukrainienne « Sur la protection des données personnelles », le détenteur des données personnelles.
« Données confiées » — les données personnelles des Clients de l'Utilisateur et des Employés de l'Utilisateur qui sont saisies dans l'espace du compte de l'entreprise par le Responsable du traitement, par les Employés de l'Utilisateur ou par les Clients de l'Utilisateur eux-mêmes via la Page de réservation en ligne et que le Sous-traitant traite sur instruction du Responsable du traitement. Leur composition est indiquée à l'Annexe 1.
« Personne concernée » — la personne physique à laquelle se rapportent les Données confiées.
« Sous-traitant ultérieur » — un tiers auquel le Sous-traitant fait appel pour le traitement des Données confiées.
« Incident » — une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération ou la divulgation non autorisée de Données confiées, ou l'accès non autorisé à celles-ci.
« Législation relative à la protection des données » — la loi ukrainienne « Sur la protection des données personnelles », ainsi que le RGPD et les autres lois relatives à la protection des données personnelles, s'ils s'appliquent au Responsable du traitement.
SECTION 2 : OBJET ET CHAMP D'APPLICATION DE L'ACCORD
2.1. Le Responsable du traitement charge le Sous-traitant de traiter les Données confiées, et le Sous-traitant s'engage à les traiter, exclusivement aux fins de fournir le Service au Responsable du traitement conformément aux Conditions d'utilisation, d'en assurer l'assistance technique et la protection. La nature et les finalités du traitement, les catégories de données et de Personnes concernées, ainsi que la durée du traitement sont indiquées à l'Annexe 1.
2.2. L'Accord ne s'applique pas aux données personnelles dont l'Administration détermine elle-même les finalités et les moyens du traitement en qualité de propriétaire (responsable du traitement) : les données des comptes des Utilisateurs, y compris des Employés de l'Utilisateur en tant qu'utilisateurs du Service ; les données relatives au paiement de l'abonnement ; les informations techniques, les cookies et les données d'analyse ; les données des participants au programme de partenariat (parrainage). Leur traitement est régi par la Politique de confidentialité.
2.3. En cas de contradiction entre l'Accord et les Conditions d'utilisation ou la Politique de confidentialité en ce qui concerne le traitement des Données confiées, les dispositions de l'Accord prévalent.
SECTION 3 : OBLIGATIONS DU RESPONSABLE DU TRAITEMENT
3.1. Le Responsable du traitement détermine lui-même les finalités du traitement des Données confiées et répond de la licéité de ce traitement, notamment en ce qui concerne :
l'existence d'un fondement juridique approprié du traitement, y compris le consentement des Clients de l'Utilisateur au traitement des informations relatives à leur état de santé, de leurs photographies et de leurs signatures, si un tel consentement est exigé par la législation ;
l'information des Personnes concernées sur les finalités, la composition et les durées du traitement de leurs données, ainsi que sur le fait que les données sont traitées au moyen du Service ;
l'exactitude et l'actualité des données saisies et leur adéquation aux finalités du traitement.
3.2. Les instructions que le Responsable du traitement donne au Sous-traitant doivent être conformes à la Législation relative à la protection des données.
3.3. Le Responsable du traitement attribue aux Employés de l'Utilisateur des rôles et des filiales de manière à ce que leur accès aux données corresponde au travail qu'ils accomplissent, et désactive ou supprime en temps utile les comptes des Employés de l'Utilisateur qui ont cessé de travailler. Les actes des Employés de l'Utilisateur au sein de l'espace du compte de l'entreprise sont réputés être des actes du Responsable du traitement.
3.4. Le Responsable du traitement assure la protection des mots de passe et des appareils à partir desquels lui-même et les Employés de l'Utilisateur se connectent au Service, et répond des Données confiées obtenues à partir du Service : exportation, documents PDF, photographies et autres fichiers téléchargés.
3.5. Le Responsable du traitement examine lui-même les demandes des Personnes concernées et y donne suite (section 7).
SECTION 4 : OBLIGATIONS DU SOUS-TRAITANT
4.1. Le Sous-traitant ne traite les Données confiées que sur instruction documentée du Responsable du traitement, y compris en ce qui concerne les transferts de données à l'étranger (section 9), sauf exigence contraire de la législation à laquelle le Sous-traitant est soumis. Dans ce cas, le Sous-traitant informe le Responsable du traitement de cette exigence avant le début du traitement, sauf si la loi interdit une telle information.
4.2. Constituent des instructions documentées du Responsable du traitement : l'Accord et les Conditions d'utilisation ; les actions du Responsable du traitement et des Employés de l'Utilisateur dans le Service (saisie, modification et suppression de données, paramètres de l'entreprise et des filiales, activation des Fonctions CRM et de la Page de réservation en ligne, envoi de documents aux clients) ; les demandes écrites du propriétaire de l'entreprise adressées au service d'assistance à support@podocard.com, y compris la demande d'exportation des données. Les autres instructions sont exécutées si elles sont techniquement réalisables dans le cadre du Service et convenues entre les parties.
4.3. Le Sous-traitant informe immédiatement le Responsable du traitement si, selon lui, une instruction du Responsable du traitement constitue une violation de la Législation relative à la protection des données.
4.4. Le Sous-traitant n'utilise pas les Données confiées à ses propres fins, y compris à des fins de marketing, ne les vend pas et ne les transmet pas à des tiers, à l'exception des Sous-traitants ultérieurs (section 6) et des cas prévus par la loi. Le Sous-traitant n'envoie pas de messages publicitaires aux Clients de l'Utilisateur.
4.5. Le Sous-traitant n'autorise l'accès aux Données confiées qu'aux personnes qui en ont besoin pour fournir le Service et en assurer l'assistance et la protection, et veille à ce que ces personnes se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale de confidentialité. Ces personnes ne consultent le contenu des Fiches clients que lorsque cela est nécessaire pour traiter la demande de l'Utilisateur auprès du service d'assistance, pour remédier à un dysfonctionnement technique ou pour satisfaire aux exigences de la législation.
4.6. Le Sous-traitant met en œuvre des mesures techniques et organisationnelles pour protéger les Données confiées (section 5 et Annexe 3), aide le Responsable du traitement à s'acquitter de ses obligations (sections 7 et 8) et met à disposition les informations nécessaires pour démontrer le respect de l'Accord (section 10).
SECTION 5 : SÉCURITÉ DU TRAITEMENT
5.1. Compte tenu de la nature des Données confiées, y compris des informations relatives à l'état de santé, le Sous-traitant applique les mesures indiquées à l'Annexe 3 et en maintient le niveau pendant la durée de validité de l'Accord. Le Sous-traitant peut modifier certaines mesures à condition que le niveau global de protection des Données confiées ne soit pas réduit.
5.2. Une partie des mesures relève du contrôle du Responsable du traitement lui-même : l'attribution des rôles et des filiales aux Employés de l'Utilisateur, la désactivation en temps utile de leurs comptes, des mots de passe robustes, la protection des appareils, la désactivation de la réservation en ligne pour une filiale, un Employé de l'Utilisateur ou un client. Le Responsable du traitement évalue lui-même si les mesures du Sous-traitant sont suffisantes pour son traitement.
SECTION 6 : SOUS-TRAITANTS ULTÉRIEURS
6.1. Le Responsable du traitement donne au Sous-traitant une autorisation générale de recourir à des Sous-traitants ultérieurs. La liste en vigueur des Sous-traitants ultérieurs figure à l'Annexe 2.
6.2. Le Sous-traitant informe de son intention de recourir à un nouveau Sous-traitant ultérieur ou de remplacer un Sous-traitant ultérieur existant en publiant sur le Site l'Annexe 2 mise à jour, avec l'indication de la date à laquelle le changement prend effet, au plus tard 14 (quatorze) jours calendaires avant cette date.
6.3. Avant cette date, le Responsable du traitement peut adresser une objection motivée à support@podocard.com. Si les parties ne parviennent pas à un accord, le Responsable du traitement peut cesser d'utiliser le Service avant l'entrée en vigueur du changement : obtenir l'exportation des données et supprimer le compte selon les modalités prévues à la section 11.
6.4. Si le remplacement d'un Sous-traitant ultérieur est nécessaire d'urgence pour assurer la sécurité ou la continuité du fonctionnement du Service, le Sous-traitant peut y procéder sans notification préalable, à condition qu'un niveau comparable de protection des données soit maintenu, et publie dans les plus brefs délais l'Annexe 2 mise à jour. Le Responsable du traitement peut s'opposer à un tel remplacement selon les modalités prévues au point 6.3.
6.5. Le Sous-traitant ne recourt à des Sous-traitants ultérieurs que sur la base d'un contrat qui leur impose des obligations en matière de protection des données au moins aussi strictes que celles prévues par l'Accord, dans la mesure où elles s'appliquent aux services du Sous-traitant ultérieur, et répond envers le Responsable du traitement de l'exécution de ces obligations par les Sous-traitants ultérieurs.
SECTION 7 : DEMANDES DES PERSONNES CONCERNÉES
7.1. Le Service permet au Responsable du traitement de donner suite lui-même aux demandes des Personnes concernées : consulter, rectifier et supprimer les données d'un client, ses visites et ses rendez-vous, désactiver la réservation en ligne pour un client, ainsi qu'obtenir une copie des données de l'espace du compte de l'entreprise (exportation) selon les modalités prévues par la Politique de confidentialité.
7.2. Si une demande d'une Personne concernée parvient au Sous-traitant, celui-ci ne l'examine pas sur le fond, mais la transmet au propriétaire de l'entreprise concernée, si l'entreprise peut être identifiée à partir des informations contenues dans la demande, et informe le demandeur qu'il lui appartient de s'adresser au Responsable du traitement pour exercer ses droits.
7.3. Si le Responsable du traitement ne peut pas donner suite à une demande au moyen du Service, le Sous-traitant, à la demande du propriétaire de l'entreprise, l'aide dans des limites raisonnables à y donner suite, compte tenu de la nature du traitement.
SECTION 8 : INCIDENTS ET ASSISTANCE AU RESPONSABLE DU TRAITEMENT
8.1. Le Sous-traitant notifie tout Incident au Responsable du traitement immédiatement, sans retard injustifié après en avoir pris connaissance. La notification est envoyée à l'adresse e-mail du propriétaire de l'entreprise indiquée dans le compte et/ou par un message dans le Service.
8.2. La notification contient, dans la mesure où ces informations sont connues du Sous-traitant : la description de l'Incident, les catégories et le nombre approximatif de Personnes concernées et d'enregistrements de données concernés, les conséquences probables, les mesures prises et proposées, un point de contact auprès duquel des informations supplémentaires peuvent être obtenues. Les informations qui ne sont pas connues au moment de la notification sont communiquées par le Sous-traitant de manière échelonnée, au fur et à mesure de leur obtention.
8.3. Le Sous-traitant prend immédiatement des mesures raisonnables pour remédier à l'Incident et en atténuer les conséquences, et fournit au Responsable du traitement les informations nécessaires à la notification de l'autorité de contrôle et des Personnes concernées. Ces notifications, si elles sont requises, sont effectuées par le Responsable du traitement.
8.4. Compte tenu de la nature du traitement et des informations à sa disposition, le Sous-traitant aide le Responsable du traitement à réaliser l'analyse d'impact relative à la protection des données et la consultation préalable de l'autorité de contrôle, si le Responsable du traitement y est tenu, en fournissant des informations sur le Service et sur les mesures de protection appliquées.
SECTION 9 : LIEU DU TRAITEMENT ET TRANSFERT DE DONNÉES À L'ÉTRANGER
9.1. Les Données confiées sont conservées sur des serveurs situés sur le territoire de la République fédérale d'Allemagne, dans les centres de données de Hetzner Online GmbH (Nuremberg, Falkenstein). Les sauvegardes de la base de données sont conservées dans un stockage distinct du même fournisseur sur le territoire de l'Allemagne. Le lieu de conservation des Données confiées est modifié selon les modalités prévues à la section 6.
9.2. Le Sous-traitant est immatriculé en Ukraine. L'accès des personnes habilitées du Sous-traitant aux Données confiées aux fins de l'assistance, de la maintenance et de la protection du Service peut avoir lieu en dehors de l'Espace économique européen, y compris depuis l'Ukraine.
9.3. Si le RGPD s'applique au Responsable du traitement et qu'un tel accès constitue un transfert de données personnelles vers un pays pour lequel la Commission européenne n'a pas adopté de décision constatant le caractère adéquat du niveau de protection, ce transfert est soumis aux clauses contractuelles types approuvées par la décision d'exécution (UE) 2021/914 de la Commission du 4 juin 2021, module 2 « transfert de responsable du traitement à sous-traitant » (ci-après dénommées les CCT). Les CCT sont intégrées à l'Accord par référence ; le Responsable du traitement y agit en qualité d'exportateur de données et le Sous-traitant en qualité d'importateur de données. Aux fins des CCT : la clause 7 ne s'applique pas ; pour la clause 9, point a), l'option 2 (autorisation générale) s'applique, avec le délai de notification indiqué au point 6.2 de l'Accord ; la formulation facultative de la clause 11, point a), ne s'applique pas ; pour la clause 17, le droit applicable est celui de l'État membre de l'UE dans lequel le Responsable du traitement est établi ou, si ce droit ne prévoit pas de droits pour les tiers bénéficiaires, celui de la République fédérale d'Allemagne ; pour la clause 18, les litiges sont tranchés par les juridictions de l'État membre de l'UE dans lequel le Responsable du traitement est établi ; les annexes I, II et III des CCT sont réputées complétées par les informations des Annexes 1, 3 et 2 de l'Accord respectivement. En cas de contradiction entre l'Accord et les CCT, les CCT prévalent.
SECTION 10 : INFORMATIONS ET VÉRIFICATIONS
10.1. À la demande du propriétaire de l'entreprise, le Sous-traitant fournit les informations nécessaires pour démontrer le respect de l'Accord : la description des mesures de protection appliquées, la liste des Sous-traitants ultérieurs, les informations relatives à la certification du fournisseur d'infrastructure et les réponses aux questions raisonnables du Responsable du traitement concernant le traitement des Données confiées.
10.2. Si ces informations sont insuffisantes ou si l'autorité de contrôle exige une vérification, le Responsable du traitement peut procéder à une vérification (audit) du traitement des Données confiées lui-même ou en faisant appel à un auditeur indépendant tenu par une obligation de confidentialité. La vérification est effectuée au maximum une fois tous les 12 (douze) mois, sauf si elle est motivée par un Incident ou par une exigence de l'autorité de contrôle, moyennant une notification au Sous-traitant au moins 30 (trente) jours calendaires à l'avance, pendant les heures ouvrables, sans accès aux données des autres utilisateurs du Service et aux frais du Responsable du traitement. L'infrastructure des Sous-traitants ultérieurs est vérifiée sur la base de leurs rapports et de leurs certificats.
SECTION 11 : DURÉE, RESTITUTION ET SUPPRESSION DES DONNÉES
11.1. L'Accord entre en vigueur au moment de son acceptation et reste en vigueur tant que le Sous-traitant traite les Données confiées du Responsable du traitement, jusqu'à leur suppression conformément à la présente section.
11.2. Les clients, les visites et les rendez-vous du calendrier supprimés dans le Service par le Responsable du traitement ou par les Employés de l'Utilisateur sont déplacés dans les archives et peuvent être restaurés pendant 30 (trente) jours calendaires. À l'expiration de ce délai, ils sont supprimés automatiquement sans possibilité de récupération, avec les photographies et les documents qui s'y rapportent. Toutefois, les rendez-vous du calendrier pour lesquels des paiements ont été enregistrés ne sont pas supprimés et restent conservés dans l'espace du compte de l'entreprise ; après la suppression du client, ils y sont conservés sans rattachement à celui-ci.
11.3. La copie de l'adresse e-mail et du prénom du Client de l'Utilisateur issus du formulaire de la Page de réservation en ligne, conservée pour l'envoi des rappels de visite, est supprimée 30 (trente) jours après le début de la visite.
11.4. Avant la suppression des données, le propriétaire de l'entreprise peut obtenir gratuitement une copie des données de l'espace du compte de l'entreprise (exportation). La composition, le format et les modalités de l'exportation sont fixés par la Politique de confidentialité.
11.5. Si le propriétaire de l'entreprise supprime son compte, l'espace du compte de l'entreprise et toutes les Données confiées sont supprimés sans possibilité de récupération à l'expiration d'un délai de 7 (sept) jours calendaires à compter de la confirmation de la demande de suppression. Avant l'expiration de ce délai, la demande peut être annulée selon les modalités prévues par les Conditions d'utilisation.
11.6. Si l'accès au Service a pris fin à l'expiration de la période d'essai ou de la période payée et que le compte n'a pas été supprimé, les Données confiées sont conservées afin que le Responsable du traitement puisse rétablir l'accès : 2 (deux) mois à compter de la fin de la période d'essai, si aucun abonnement payant n'a été souscrit, ou 2 (deux) ans à compter de la fin de la dernière période payée. À l'expiration de ces délais, les données sont supprimées automatiquement sans possibilité de récupération. Le Responsable du traitement qui ne souhaite pas une telle conservation peut à tout moment supprimer le compte selon les modalités prévues au point 11.5.
11.7. Les Données confiées sont supprimées des sauvegardes au fur et à mesure du remplacement programmé des sauvegardes. D'ici là, les sauvegardes sont protégées par les mêmes mesures et ne sont utilisées que pour restaurer le Service après des pannes.
11.8. Si la législation impose au Sous-traitant de continuer à conserver certaines Données confiées, le Sous-traitant ne les conserve que pendant la durée prescrite, en garantit la confidentialité et ne les traite pas à d'autres fins.
SECTION 12 : RESPONSABILITÉ
12.1. Les parties engagent leur responsabilité en cas de violation de l'Accord conformément à la législation applicable. Les limitations de responsabilité prévues par les Conditions d'utilisation s'appliquent à l'Accord dans la mesure où la Législation relative à la protection des données le permet et ne limitent pas les droits des Personnes concernées.
SECTION 13 : DISPOSITIONS FINALES
13.1. L'Administration peut modifier l'Accord en publiant une nouvelle version sur le Site avec l'indication de la date de dernière mise à jour. Les modifications de la liste des Sous-traitants ultérieurs sont apportées selon les modalités prévues à la section 6. La poursuite de l'utilisation du Service après l'entrée en vigueur de la nouvelle version vaut acceptation de celle-ci. En cas de désaccord, l'Utilisateur peut cesser d'utiliser le Service et supprimer son compte.
13.2. L'Accord est régi par la législation de l'Ukraine, compte tenu des dispositions impératives de la Législation relative à la protection des données applicable au Responsable du traitement et de la section 9. Les litiges sont réglés selon les modalités prévues par les Conditions d'utilisation.
13.3. Les notifications sont adressées au Responsable du traitement à l'adresse e-mail du propriétaire de l'entreprise indiquée dans le compte ou par un message dans le Service ; au Sous-traitant, à support@podocard.com.
13.4. L'invalidité d'une disposition de l'Accord n'entraîne pas l'invalidité de ses autres dispositions.
ANNEXE 1 : DESCRIPTION DU TRAITEMENT
1. Catégories de Personnes concernées :
les Clients de l'Utilisateur, y compris les personnes ayant pris rendez-vous via la Page de réservation en ligne ;
les Employés de l'Utilisateur, en ce qui concerne les données que l'entreprise saisit dans le Service.
2. Catégories de Données confiées :
données des Clients de l'Utilisateur : nom, prénom, patronyme, sexe, date de naissance, profession ; numéro de téléphone, adresse e-mail, contacts Telegram et Instagram ; questionnaire médical (informations sur les maladies et les affections, les allergies, la pointure, notes) ; historique des visites (description des soins, marquages sur les schémas des pieds, informations sur les systèmes correcteurs, notes, photographies, y compris avant et après les soins) ; signatures électroniques et documents signés, y compris les consentements éclairés au format PDF ; autres informations et fichiers saisis par le Responsable du traitement ;
lors de l'utilisation des Fonctions CRM : rendez-vous (date et heure, filiale, spécialiste, prestations et leur prix, statut du rendez-vous, commentaires), informations sur le paiement des rendez-vous (montant, mode de paiement, date) et sur les règlements avec les clients, autorisation donnée au client de prendre rendez-vous via la Page de réservation en ligne ;
lors d'une prise de rendez-vous via la Page de réservation en ligne : prénom, nom, numéro de téléphone et adresse e-mail indiqués dans le formulaire, prestations choisies, spécialiste, date et heure, ainsi que l'enregistrement du consentement au traitement des données personnelles (date et heure, adresse IP, informations sur le navigateur, version du document) ;
données des Employés de l'Utilisateur : prénom, nom, coordonnées, fonction, photographie (avatar), rôle et filiales, planning de travail (jours et heures de travail, pauses, jours de repos), rendez-vous des clients et prestations réalisées, conditions de rémunération (pourcentage du prix des prestations et/ou montant fixe), si le Responsable du traitement les définit, et montants de rémunération calculés sur cette base.
3. Catégories particulières de données : informations relatives à l'état de santé des Clients de l'Utilisateur (questionnaire médical, descriptions des soins, photographies). L'étendue de leur traitement est déterminée par le Responsable du traitement.
4. Nature du traitement : collecte, y compris via la Page de réservation en ligne ; enregistrement, systématisation, conservation et modification ; affichage aux utilisateurs de l'espace du compte de l'entreprise en fonction de leurs rôles et de leurs filiales ; génération de documents PDF, de rapports et de calculs ; envoi d'e-mails : documents au client à son adresse e-mail, e-mails relatifs aux rendez-vous et rappels de visite aux Clients de l'Utilisateur, messages relatifs aux rendez-vous pris via la Page de réservation en ligne au propriétaire de l'entreprise, aux gestionnaires et aux administrateurs de la filiale ; affichage du prénom, du nom, de la fonction et de la photographie des spécialistes sur la Page de réservation en ligne ; protection contre les abus ; sauvegarde ; exportation ; suppression.
5. Finalités du traitement : fourniture au Responsable du traitement du Service et de ses fonctions, assistance technique au Responsable du traitement, garantie de la sécurité et de la continuité du fonctionnement du Service, restauration après des pannes.
6. Durée du traitement : pendant la durée de validité de l'Accord (section 11).
ANNEXE 2 : SOUS-TRAITANTS ULTÉRIEURS
La liste est en vigueur à compter du 29 octobre 2026.
Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Allemagne) — infrastructure en nuage du Service : serveurs, base de données, stockage des photographies et des documents, sauvegardes. Lieu du traitement : Allemagne (centres de données à Nuremberg et à Falkenstein).
Les e-mails du Service, y compris ceux destinés aux Clients de l'Utilisateur, sont envoyés via le propre serveur de messagerie du Sous-traitant. Les prestataires de paiement, les magasins d'applications et les services d'analyse mentionnés dans la Politique de confidentialité ne sont pas des Sous-traitants ultérieurs : ils ne reçoivent que les données de l'Utilisateur nécessaires à l'exercice de leurs fonctions et n'ont pas accès aux Fiches clients.
ANNEXE 3 : MESURES TECHNIQUES ET ORGANISATIONNELLES
1. Hébergement. Les serveurs du Service et les sauvegardes sont hébergés dans les centres de données de Hetzner Online GmbH sur le territoire de l'Allemagne. Le système de management de la sécurité de l'information du fournisseur est certifié selon la norme internationale ISO/IEC 27001.
2. Protection de la transmission des données. L'échange de données entre l'application mobile, le site web et les serveurs du Service s'effectue exclusivement via une connexion sécurisée (HTTPS/TLS).
3. Conservation des fichiers. Les photographies et les documents sont conservés dans un stockage privé et ne sont pas accessibles par des liens directs permanents : l'application y donne accès au moyen de liens temporaires à durée de validité limitée.
4. Accès à l'infrastructure. La base de données n'est pas accessible depuis Internet. Seul le personnel technique habilité du Sous-traitant dispose d'un accès administratif aux serveurs, au moyen d'une authentification par clé.
5. Comptes. Les mots de passe ne sont conservés que sous forme de hachages cryptographiques. L'accès au Service est accordé au moyen de jetons à durée de validité limitée ; après la réinitialisation du mot de passe, les jetons précédemment émis sont révoqués. Le nombre de tentatives de connexion et de saisie des codes de confirmation est limité.
6. Contrôle d'accès. Les données d'une entreprise ne sont accessibles qu'aux utilisateurs de l'espace du compte de cette entreprise. L'étendue de l'accès des Employés de l'Utilisateur est déterminée par leur rôle (propriétaire, gestionnaire, administrateur, spécialiste) et, lors de l'utilisation des Fonctions CRM, également par les filiales auxquelles ils sont rattachés ; en particulier, les coordonnées des Clients de l'Utilisateur ne sont pas visibles pour le spécialiste. Les rôles et le rattachement aux filiales sont attribués par le propriétaire de l'entreprise et les gestionnaires.
7. Personnel du Sous-traitant. Les personnes autorisées à accéder aux Données confiées sont tenues de respecter la confidentialité et ne consultent le contenu des Fiches clients que dans les cas prévus au point 4.5 de l'Accord.
8. Page de réservation en ligne. Le nombre de requêtes et de demandes est limité par adresse IP, par numéro de téléphone et par adresse e-mail ; ces valeurs sont utilisées sous forme de hachages dans des compteurs temporaires, qui sont supprimés automatiquement à l'expiration de la période de limitation. Le lien d'annulation du rendez-vous contient un code impossible à deviner ; seul son hachage est conservé dans la base de données. Le Meta Pixel et les autres outils publicitaires et d'analyse ne sont utilisés ni sur la Page de réservation en ligne ni sur la page d'annulation du rendez-vous.
9. Journaux. Les erreurs et les pannes sont consignées dans des journaux afin de contrôler le fonctionnement du Service ; les mots de passe, les jetons et les codes de confirmation sont masqués dans les journaux.
10. Sauvegarde. Les sauvegardes de la base de données sont créées régulièrement et conservées dans un stockage distinct sur le territoire de l'Allemagne.
11. Suppression. Les clients, les visites et les rendez-vous supprimés sont conservés dans les archives pendant 30 (trente) jours calendaires, puis supprimés automatiquement ; les données de l'espace du compte de l'entreprise sont supprimées automatiquement à l'expiration des durées de conservation (section 11 de l'Accord).
12. Exportation. La copie des données de l'espace du compte de l'entreprise n'est remise qu'au propriétaire de l'entreprise : le lien de téléchargement est envoyé uniquement à l'adresse e-mail indiquée dans son compte et reste valable 7 (sept) jours calendaires, après quoi l'archive est supprimée des serveurs du Service.
COORDONNÉES
Entrepreneure individuelle au sens du droit ukrainien Serdiukova Anna
N° d'identification fiscale 3117915209
Tél. +380731234011
E-mail : support@podocard.com